sub_filter оказался совсем не нужен

вот минимальная версия конфига:

# cat sfjd.tst.ssl.conf
[code]
server {
listen sjfd.tst:443;
server_name sjfd.tst www.sjfd.tst;

ssl on;
ssl_certificate /path/to/www.sjfd.tst.crt;
ssl_certificate_key /path/to/www.sjfd.tst.key;

ssl_session_timeout 5m;

ssl_protocols SSLv3 TLSv1;
ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
ssl_prefer_server_ciphers on;

location / {
proxy_pass http://192.168.0.2;
proxy_redirect http://sjfd.tst/ https://sjfd.tst/;
proxy_redirect http://www.sjfd.tst/ https://www.sjfd.tst/;

proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}

[/code]